Commission d’accès à l’information du Québec Dossier : 1019454-S Nom des organismes : Réseau de Transport de la Capitale et Centre de services scolaire de la Capitale Date : 19 avril 2021 Membre : M e Lina Desbiens DÉCISION ENQUÊTE en vertu de la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels 1 APERÇU [1] La Commission d’accès à l’information (la Commission) a procédé à une enquête à la suite d’une plainte reçue le 6 octobre 2018 portant sur le processus d’émission d’une carte d’étudiant par le Réseau de transport de la Capitale (RTC). Cette carte sert conjointement aux établissements 2 du Centre de services scolaire de la Capitale (CSSC) et au RTC pour l’identification des étudiants, l’obtention de services scolaires et le transport en commun.
[2] L’enquête a porté d’une part sur la communication par le CSSC au RTC de renseignements personnels concernant les étudiants de ses établissements même si ceux-ci n’utilisent pas le transport en commun et d’autre part, sur le fait que le RTC recueille et conserve des renseignements personnels qui ne sont pas nécessaires à l’exercice de ses attributions, lesquelles consistent à offrir un service de transport en commun.
1 RLRQ, c. A-2.1, la Loi sur l’accès. 2 Le choix d’utiliser la carte conjointe est laissé à la discrétion des établissements.
1019454-S Page : 2 CONTEXTE [3] Depuis 2008, plusieurs autorités organisatrices de transport et des organismes publics de transport en commun, dont le RTC, utilisent le système OPUS 3 . Ce système sert à l’émission de cartes à puce sur lesquelles sont téléchargés des titres de transport achetés par les usagers des réseaux de transport en commun. Les cartes sont ensuite utilisées par les usagers dans les installations des réseaux.
[4] Le système OPUS peut recueillir des renseignements personnels, afin d’émettre des cartes à puce personnalisées. Celles-ci permettent aux usagers des réseaux d’obtenir certains privilèges comme des tarifs réduits et le remplacement d’une carte perdue 4 . Les renseignements personnels sont recueillis sur une base facultative. Ainsi, il est possible d’acheter des titres de transport en commun sur une carte à puce anonyme. Dans ce cas, aucun renseignement personnel n’est collecté et la carte ne confère aucun privilège.
[5] En 2009, la Commission scolaire de la Capitale (aujourd’hui le CSSC) et le RTC ont conclu une entente d’identité conjointe.
[6] Le CSSC regroupe des établissements d’enseignement primaire et secondaire fréquentés par des étudiants dont certains utilisent également le service de transport en commun du RTC. Les établissements du CSSC ont également besoin d’émettre une carte étudiante, laquelle sert à l’identification des étudiants, mais aussi à leur offrir des services scolaires (ex. prêt de matériel, prêt de livres, accès à un examen).
[7] La carte d’identité conjointe permet ainsi aux étudiants de se déplacer dans le réseau de transport en commun du RTC étudiante aux établissements du CSSC.
3 Cette utilisation est encadrée par la Convention de mandat et de service relative à l’utilisation centrale 4 Ce système a fait l’objet d’une inspection de la Commission en 2012 (dossier 110488-S). 5 Entente relative à l’émission d’une carte d’identité conjointe sur carte à puce, ci-après l’Entente. 6 Observation du RTC, 12 mars 2021 : « Elle permet également d’avoir accès aux services de Communauto pour ceux qui sont membres. »
5 relativement à l’émission d’une carte
6 , tout en servant de carte
1019454-S Page : 3 [8] En vertu de l’Entente, les établissements scolaires relevant du CSSC peuvent choisir d’offrir à leurs étudiants cette carte d’étudiant conjointe. Lorsque cette option est retenue par l’établissement, c’est le RTC qui est responsable d’émettre la carte conjointe via le système OPUS. Une carte à puce est alors émise par le RTC. La carte conjointe est d’une durée de quatre ans et le RTC a cessé de produire ces cartes après l’année scolaire 2018-2019 7 . [9] Lorsque cette option est choisie par l’établissement, il n’est pas prévu à l’entente qu’une alternative soit offerte aux étudiants qui n’utilisent pas le service de transport en commun. Il ressort de l’enquête qu’à l’École secondaire Vanier, la carte d’identité conjointe était la seule option offerte aux étudiants.
[10] Afin d’obtenir la carte conjointe, l’étudiant ou le titulaire de l’autorité parentale doit consentir à ce que l’établissement scolaire fréquenté communique au RTC les renseignements personnels suivants concernant l’étudiant :
• Nom et prénom; • Code permanent; • Numéro de fiche; • Code postal; • Date de naissance; • Sexe; • Photo, s’il y a lieu. [11] Outre le code permanent et le numéro de fiche qui permettent de générer le code-barres qui sert uniquement à l’établissement scolaire, les renseignements personnels recueillis par le RTC permettent d’émettre la carte Opus personnalisée. Selon le RTC, les renseignements personnels collectés sont nécessaires dans les cas suivants :
• L’émission, le renouvellement, la modification, le remplacement, la réactivation ou l’annulation de la carte;
• La vente de titres et la perception des recettes de transport en commun ainsi que la répartition de certaines de ces recettes;
• Le remboursement ou la restitution de titres perdus ou volés, s’il y a lieu; • La gestion du système OPUS;
7 Observations du RTC, 12 mars 2021.
1019454-S Page : 4 • La prévention, la détection ou la répression de la fraude; • La planification du transport en commun (sous forme dépersonnalisée). [12] Selon les faits recueillis lors de l’enquête, la collecte de renseignements personnels visant les étudiants qui ne souhaitent pas utiliser le service de transport en commun du RTC ne vise que la production de carte. Aucun autre service n’étant offert par le RTC.
AVIS D’INTENTION DE LA COMMISSION ET OBSERVATIONS DES ORGANISMES [13] Le 9 décembre 2020, la Commission a transmis un avis d’intention informant les organismes de son intention de rendre les ordonnances suivantes aux motifs qu’ils ne respectaient pas la Loi sur l’accès :
[14] Au CSSC de : • CESSER de communiquer au RTC les renseignements personnels des étudiants qui n’utilisent pas le service de transport en commun.
• MODIFIER son formulaire de consentement, afin d’informer la personne autorisée à fournir le consentement des finalités de la collecte et des renseignements nécessaires.
• OFFRIR une alternative à l’obtention de la carte conjointe aux étudiants qui n’utilisent pas le service de transport en commun, lorsque l’établissement scolaire choisit d’utiliser ce type de carte.
[15] Au RTC de : DÉTRUIRE les renseignements personnels obtenus des étudiants qui n’utilisent pas le service de transport en commun dans les 30 jours de la réception de la décision qui sera rendue.
[16] Le RTC a transmis ses observations le 12 mars 2021 et le CSSC le 30 mars 2021.
[17] Les deux organismes réfèrent à l’Entente pour souligner qu’il est de la discrétion des établissements d’utiliser la carte OPUS à titre de carte d’identité et qu’il appartient à la direction des écoles d’obtenir un consentement l’étudiant ou du titulaire de l’autorité parentale.
1019454-S Page : 5 [18] Le RTC ajoute que l’entente ne prévoit pas que la carte d’identité conjointe soit la seule option offerte aux élèves et qu’il ne l’a pas non plus exigée.
[19] Par ailleurs, quant à l’ordonnance relative à la destruction des renseignements personnels détenus sans droit, le RTC soumet qu’il ne dispose d’aucune information lui permettant d’identifier les renseignements personnels qui lui ont été transmis sans consentement valable puisque dans tous les cas un formulaire complété lui a été communiqué.
[20] Il propose que les établissements obtiennent un désistement des étudiants qui ne consentent pas à la conservation de leurs renseignements personnels par le RTC ou qui n’utilisent pas ses services et n’ont pas l’intention de les utiliser dans le futur. Une fois la liste obtenue, le RTC détruira les renseignements personnels de ces personnes ainsi que les formulaires, une fois l’exercice complété, sans en conserver de copie. Toutefois, le délai devrait être révisé en fonction du nombre de désistements obtenus.
[21] Le RTC et le CSSC, comprennent que l’objectif de la Commission est de s’assurer que le RTC ne détienne pas les renseignements personnels d’élèves qui n’ont pas valablement consenti à leur transmission ou qui n’utilisent pas les services du RTC.
[22] À cet égard, le CSSC appuie la suggestion du RTC si les modalités sont acceptables pour la Commission.
[23] De plus, il confirme qu’il entend offrir à tous ses élèves, dès la rentrée scolaire 2020-2021, une carte d’identité propre à ’organisation et indépendante de la carte OPUS 8 . [24] Finalement, les deux organismes suggèrent à la Commission de limiter la portée de sa décision aux élèves de l’École secondaire Vanier, au motif que la seule plainte connue provient d’un parent de cet établissement et qu’il n’y a pas de preuve démontrant que les autres établissements scolaires visés par l’entente n’ont pas offert une autre alternative à ceux qui ne voulaient pas obtenir une carte d’identité conjointe.
8 Lettre transmise par le CSSC, le 15 avril 2021.
1019454-S Page : 6 ANALYSE 1. Les organismes sont assujettis à la Loi sur l’accès [25] Le CSSC et le RTC sont des organismes publics 9 assujettis à la Loi sur l’accès, laquelle encadre notamment la communication de renseignements personnels.
[26] 2. Les renseignements communiqués au RTC sont des renseignements personnels
[27] La Loi sur l’accès prévoit que sont personnels, les renseignements qui concernent une personne physique et permettent de l’identifier 10 . Ainsi, dès qu’un renseignement permet de faire connaître quelque chose permettant de distinguer une personne physique d’une autre, ce renseignement est personnel 11 et ce, peu importe sa forme ou son support. De plus, un renseignement peut être qualifié de renseignement personnel qu’il soit utilisé seul ou avec d’autres 12 . [28] Afin d’obtenir la carte conjointe, l’étudiant ou le titulaire de l’autorité parentale doit consentir à ce que l’établissement scolaire fréquenté communique au RTC les renseignements personnels suivants concernant l’étudiant :
• Nom et prénom; • Code permanent; • Numéro de fiche; • Code postal; • Date de naissance; • Sexe; • Photo, s’il y a lieu. [29] Il s’agit de renseignement personnel au sens de la Loi sur l’accès.
9 Articles 3 et 6 de la Loi sur l’accès. 10 Loi sur l’accès, article 54. 11 Ségal c. Centre des services sociaux du Québec [1988] CAI 315. 12 Il en va ainsi, par exemple, du nom d’une personne physique. Loi sur l’accès, article 56.
1019454-S Page : 7 3. Le consentement n’est pas libre, éclairé et spécifique [30] L’article 59, al. 1 de la Loi sur l’accès 13 prévoit qu’un renseignement personnel ne peut être communiqué sans le consentement de la personne concernée. Le consentement à la communication de renseignements personnels doit, notamment, être donné par une personne capable d’exercer sa volonté et il doit être libre, éclairé et spécifique.
[31] Il ressort des faits recueillis dans le cadre de l’enquête qu’un questionnement subsiste quant au caractère libre et éclairé du consentement recueilli. En effet, il ressort de l’enquête, qui a porté plus particulièrement sur le consentement signé par les étudiants ou les titulaires de l’autorité parentale de l’École secondaire Vanier, que l’étudiant qui n’utilise pas le service de transport en commun et qui ne donne pas son consentement à la communication des renseignements susmentionnés par l’établissement au RTC ne pourra obtenir de carte d’étudiant nécessaire à l’obtention des services scolaires qui requièrent la présentation de cette carte.
[32] Ajoutons que rien dans l’entente ou dans le formulaire d’autorisation de transmission des renseignements personnels au RTC utilisé par les établissements ne réfère à une autre option. De plus, il ressort de l’enquête que le CSSC n’a jamais mentionné de pratique distincte des établissements quant aux options disponibles en cas de refus de consentir. D’ailleurs, il a plutôt mentionné que «dorénavant les établissements devraient transiter par les services informatiques pour alimenter le RTC pour la production de leur carte Opus afin d’appliquer un meilleur contrôle de la transmission de l’information et du consentement à cette même transmission » 14 . [33] Étant donné qu’il ressort de l’enquête que l’entente ne prévoit pas pour les établissements du CSSC d’offrir une alternative à la carte d’étudiant conjointe et qu’il est démontré qu’au moins un établissement exige l’utilisation de la carte conjointe pour tous ses étudiants, la Commission conclut que, dans ces situations, le consentement semble essentiel et non optionnel, afin que l’étudiant puisse bénéficier de tous les services nécessaires à son parcours scolaire.
13 59. Un organisme public ne peut communiquer un renseignement personnel sans le consentement de la personne concernée. 14 Annexe III, lettre du 11 octobre 2019 de la Commission scolaire de la Capitale.
1019454-S Page : 8 4. Le RTC doit détruire les renseignements personnels concernant les étudiants qui n’ont pas valablement consenti
[34] Par ailleurs, l’article 64 de la Loi sur l’accès public ne peut recueillir que les renseignements personnels nécessaires à l’exercice de ses attributions.
[35] Il ressort des faits recueillis lors de l’enquête que le CSSC communique au RTC des renseignements personnels concernant les étudiants de ses établissements même si ceux-ci n’utilisent pas le transport en commun. Par conséquent, il appert que le RTC recueille des renseignements personnels qui ne sont pas nécessaires à l’exercice de ses attributions, lesquelles consistent à offrir un service de transport en commun.
[36] La Commission constate que les organismes ne contestent pas les faits à l’origine de la plainte, que le CSSC confirme qu’il n’utilisera plus la carte OPUS comme carte d’identité et le RTC accepte de détruire les renseignements personnels selon les modalités acceptables pour la Commission.
5. Tous les établissements scolaires du CSSC sont visés par les conclusions
[37] Les organismes soutiennent que la présente décision ne devrait s’appliquer qu’à l’égard de l’École secondaire Vanier, ce à quoi la Commission ne peut acquiescer.
[38] D’abord, précisons que le fait que les organismes n’aient reçu qu’une seule plainte, ne permet pas de limiter la décision à cette seule situation. En effet, à la suite de son enquête, la Commission analyse la légalité de la pratique fondée sur un consentement, et non seulement le cas d’espèce soumis par le plaignant.
[39] Par ailleurs, il ressort des réponses transmises par le CSSC à l’enquêteur de la Commission le 11 octobre 2019, que lorsqu’un établissement choisit la carte d’identité conjointe, tous les étudiants doivent l’utiliser et qu’aucune autre alternative n’est offerte. De plus, le CSSC souligne qu’il s’agit du protocole suivi. Ainsi, rien ne laisse penser que certains établissements auraient pu de
15 64. Nul ne peut, au nom d’un organisme public, recueillir un renseignement personnel si cela n’est pas nécessaire à l’exercice des attributions de cet organisme ou à la mise en œuvre d’un programme dont il a la gestion. […]
15 prévoit qu’un organisme
1019454-S Page : 9 leur propre initiative proposer une alternative à la carte conjointe pour ceux qui ne désiraient pas utiliser les services du RTC.
[40] Par conséquent, la Commission considère que tous les établissements du CSSC qui ont appliqué l’entente afin de faire émettre des cartes d’identité conjointe par le RTC sont visés par la présente décision.
CONCLUSION [41] À la lumière de ce qui précède, la Commission conclut que les organismes n’ont pas respecté les articles 59 et 64 de la Loi sur l’accès.
[42] D’une part, le CSSC a communiqué au RTC des renseignements personnels concernant les étudiants de ses établissements même si ceux-ci n’utilisaient pas le transport en commun. D’autre part, les renseignements recueillis par le RTC concernant les étudiants qui n’utilisent pas le transport en commun n’ont pas été obtenus avec un consentement valide et ils ne sont pas nécessaires à l’exercice de ses attributions de transport.
[43] Le RTC ne doit pas conserver les renseignements obtenus concernant les étudiants qui n’utilisent pas le service de transport en commun. Toutefois, quant au délai pour procéder à la destruction, le RTC soumet qu’il devrait être fixé une fois que le nombre d’élèves concernés par cette démarche sera connu.
[44] À cet égard, la Commission convient que le délai accordé dans l’avis d’intention est insuffisant. En effet, la destruction pourra être effectuée uniquement après que les étudiants seront identifiés.
[45] La Commission accepte la proposition du RTC à laquelle le CSSC ne s’est pas opposé. Toutefois, les organismes devront soumettre un échéancier de réalisation d’étapes, rendre compte à la Commission et ce, dans un délai de 4 mois de la réception de la présente décision ou au plus tard au début de la prochaine année scolaire.
POUR CES MOTIFS, LA COMMISSION : [46] DÉCLARE la plainte fondée. [47] CONSTATE que le RTC a cessé de produire des cartes d’identité conjointe après l’année scolaire 2018-2019.
1019454-S Page : 10 [48] CONSTATE que le CSSC offrira à ses étudiants, à compter de la rentrée scolaire 2020-2021, une carte d’identité indépendante de la carte Opus.
[49] ORDONNE au RTC de détruire les renseignements personnels obtenus des étudiants qui n’utilisent pas le service de transport en commun selon l’échéancier établi avec le CSSC et les formulaires de désistement et ce, au plus tard avant l’année scolaire 2021-2022.
[50] ORDONNE au CSSC et au RTC de déposer, au plus tard le 1 2021, un échéancier de réalisation des étapes visant à permettre la destruction des renseignements personnels visés par la présente décision.
[51] ORDONNE au CSSC et au RTC de rendre compte à la Commission de la réalisation des étapes visant la destruction des renseignements personnels visés par la présente décision le 31 août 2021.
[52] ORDONNE au RTC de confirmer à la Commission la destruction des renseignements personnels conformément à l’échéancier convenu avec le CSSC.
M e Lina Desbiens Membre de la Commission, section de surveillance
er juillet